Regulament 2025/848 · CELEX 32025R0848

Regulamentul de punere în aplicare (UE) 2025/848 al Comisiei din 6 mai 2025 de stabilire a normelor de aplicare a Regulamentului (UE) nr. 910/2014 al Parlamentului European și al Consiliului în ceea ce privește înregistrarea beneficiarilor portofelelor

Data act: 06.05.2025
Intrare in vigoare: 27.05.2025
Jurnalul Oficial UE: oj:L_202500848
Status: In vigoare

comerț electronic date personale monedă electronică ofertă de servicii piață unică protecția datelor securitatea sistemelor informatice specificații tehnice tehnologie digitală

Recitale

(1) În scopul înregistrării beneficiarilor care intenționează să recurgă la portofele europene pentru identitatea digitală (denumite în continuare „portofelele”) pentru furnizarea de servicii publice sau private digitale, astfel cum se prevede în Regulamentul (UE) nr. 910/2014, statele membre ar trebui să instituie și să mențină registre naționale ale beneficiarilor portofelelor care sunt stabiliți pe teritoriul lor.

(2) Comisia evaluează periodic noile tehnologii, practici, standarde și specificații tehnice. Pentru a asigura cel mai înalt nivel de armonizare între statele membre în ceea ce privește dezvoltarea și certificarea portofelelor, specificațiile tehnice prevăzute în prezentul regulament se întemeiază pe activitatea desfășurată în temeiul Recomandării (UE) 2021/946 (2), în special pe arhitectura și cadrul de referință care face parte din acesta. În conformitate cu considerentul 75 din Regulamentul (UE) 2024/1183 al Parlamentului European și al Consiliului (3), Comisia ar trebui să revizuiască și, dacă este necesar, să actualizeze prezentul regulament, pentru a îl menține aliniat la evoluțiile mondiale și la arhitectura și cadrul de referință, precum și pentru a respecta cele mai bune practici de pe piața internă.

(3) Pentru a asigura accesul pe scară largă la registre și interoperabilitatea, statele membre ar trebui să instituie interfețe lizibile pentru om și prelucrabile automat care să respecte specificațiile tehnice stabilite în prezentul regulament. Furnizorii de certificate de acces pentru beneficiarii portofelelor și de certificate de înregistrare ale beneficiarilor portofelelor, dacă sunt disponibile, ar trebui, de asemenea, în scopul eliberării certificatelor respective, să poată utiliza la aceste interfețe.

(4) Întrucât politicile de înregistrare oferă beneficiarilor portofelelor orientări clare cu privire la procesul de înregistrare, statele membre ar trebui să prezinte și să publice politicile de înregistrare aplicabile registrelor naționale înființate pe teritoriul lor.

(5) Scopul înregistrării beneficiarilor portofelelor este de a consolida încrederea în utilizarea portofelelor printr-o mai mare transparență. Prin urmare, statele membre ar trebui să pună informațiile relevante la dispoziția publicului într-un format care să fie atât lizibil pentru om, cât și prelucrabil automat. În acest scop, beneficiarii portofelelor ar trebui să furnizeze informațiile necesare, inclusiv drepturile lor, registrelor naționale.

(6) În plus, din motive de transparență, beneficiarii portofelelor ar trebui să declare dacă intenționează să recurgă la identificarea electronică a persoanelor fizice.

(7) Pentru a se asigura că procesul de înregistrare este eficient din punctul de vedere al costurilor și proporțional cu riscurile, operatorii de registru ar trebui să instituie, pentru beneficiarii portofelelor, procese de înregistrare online și, după caz, automate și care să fie ușor de utilizat. Operatorii de registru ar trebui să verifice cererile de înregistrare fără întârzieri nejustificate.

(8) Statele membre trebuie să se asigure că portofelele sunt în măsură să autentifice beneficiarii portofelelor, indiferent de locul în care aceștia sunt stabiliți în Uniune. În acest scop, beneficiarii portofelelor ar trebui să utilizeze certificate de acces pentru beneficiarii portofelelor atunci când se identifică în cadrul unităților de portofel. Pentru a garanta interoperabilitatea acestor certificate între diferitele portofele puse la dispoziție pe teritoriul Uniunii, certificatele de acces pentru beneficiarii portofelelor ar trebui să fie aliniate la cerințele comune prezentate în anexă. Comisia ar trebui să elaboreze politici armonizate privind certificatele și declarații armonizate privind practicile de certificare care ar trebui puse în aplicare de statele membre. Comisia, în colaborare cu statele membre, ar trebui să monitorizeze îndeaproape dezvoltarea unor standarde noi sau alternative pe baza cărora ar putea fi implementate certificatele de acces pentru beneficiarii portofelelor. În particular, ar trebui evaluate modelele de încredere care și-au dovedit eficacitatea și securitatea în statele membre.

(9) Astfel cum se prevede în Regulamentul (UE) nr. 910/2014, beneficiarii nu trebuie să solicite utilizatorilor să furnizeze alte date decât cele indicate pentru utilizarea preconizată a portofelelor în cursul procesului de înregistrare. Utilizatorii portofelelor ar trebui să poată verifica în orice moment datele de înregistrare ale beneficiarilor portofelelor. Pentru a permite utilizatorilor portofelelor să verifice dacă atributele solicitate de beneficiarul portofelului se încadrează în domeniul de aplicare al atributelor sale înregistrate, statele membre pot să solicite eliberarea către beneficiarii portofelelor înregistrați de certificate de înregistrare ale beneficiarului portofelului. Pentru a asigura interoperabilitatea certificatelor de înregistrare ale beneficiarilor portofelelor, statele membre ar trebui să se asigure că certificatele respective sunt conforme cu cerințele și standardele prevăzute în anexă. În particular, beneficiarii portofelelor ar trebui să declare dacă intenționează să recurgă la identificarea electronică a persoanelor fizice pentru a îndeplini una dintre cerințele prevăzute la articolul 6 alineatul (1) din Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului (4) în scopul transparenței. În plus, beneficiarii nu ar trebui să refuze utilizarea pseudonimelor, în cazul în care dreptul Uniunii sau dreptul intern nu impun identificarea utilizatorului.

(10) Pentru a proteja utilizatorii împotriva schimbului excesiv de informații cu beneficiarii portofelelor și pentru a-i avertiza în astfel de cazuri, statele membre ar trebui să includă în politicile lor de certificare politici comune privind accesul care ar permite unei soluții pentru portofel să informeze utilizatorul portofelului ori de câte ori un beneficiar al portofelului solicită mai multe informații decât cele pe care le-a înregistrat sau pe care a fost autorizat să le acceseze.

(11) Pentru a proteja utilizatorii portofelelor, operatorii de registru ar trebui să poată suspenda sau anula fără notificare prealabilă înregistrarea oricărui beneficiar al portofelului în cazul în care au motive să creadă că înregistrarea conține informații inexacte, depășite sau înșelătoare, că beneficiarul portofelului nu respectă politica de înregistrare sau că beneficiarul portofelului încalcă în alt mod dreptul Uniunii, dreptul intern sau Declarația privind drepturile și principiile digitale pentru deceniul digital (5) într-un mod care se referă la rolul său de beneficiar al portofelului, de exemplu în cazul în care beneficiarul portofelului nu a redus la minimum, conform reglementărilor, setul de atribute la care solicită acces. Pentru a proteja stabilitatea ecosistemului portofelului european pentru identitatea digitală („ecosistemul portofelelor”), decizia de a suspenda sau de a anula o înregistrare ar trebui să fie proporțională în raport cu perturbarea serviciului cauzată de suspendare sau anulare și cu costurile și inconvenientele aferente pentru furnizorul de servicii și utilizator. În temeiul articolului 46a alineatul (4) litera (f) din Regulamentul (UE) nr. 910/2014, organismele de supraveghere sunt, de asemenea, împuternicite să suspende și să anuleze înregistrarea, dacă este necesar.

(12) În scopul monitorizării ex post, al investigațiilor efectuate de autoritățile de aplicare a legii și al gestionării litigiilor, operatorii de registru ar trebui să păstreze timp de 10 ani evidența tuturor informațiilor furnizate de beneficiarii portofelelor înregistrați în registrul lor național.

(13) Regulamentul (UE) 2016/679 și, după caz, Directiva 2002/58/CE a Parlamentului European și a Consiliului (6) se aplică activităților de prelucrare a datelor cu caracter personal efectuate în temeiul prezentului regulament.

(14) Autoritatea Europeană pentru Protecția Datelor a fost consultată în conformitate cu articolul 42 alineatul (1) din Regulamentul (UE) 2018/1725 al Parlamentului European și al Consiliului (7) și a emis un aviz la 31 ianuarie 2025.

(15) Măsurile prevăzute în prezentul regulament sunt conforme cu avizul comitetului menționat la articolul 48 din Regulamentul (UE) nr. 910/2014,

Articolul 1

Obiect și domeniu de aplicare

Prezentul regulament stabilește norme pentru înregistrarea beneficiarilor portofelelor.

Articolul 2

Definiții

În sensul prezentului regulament, se aplică următoarele definiții: 1. „beneficiar al portofelului” înseamnă un beneficiar care intenționează să recurgă la unități de portofel pentru furnizarea de servicii publice sau private prin intermediul interacțiunii digitale; 2. „unitate de portofel” înseamnă o configurație unică a unei soluții pentru portofel care include instanțe ale portofelului, aplicații criptografice securizate pentru portofel și dispozitive criptografice securizate pentru portofel, furnizată de un furnizor de portofel unui utilizator individual al portofelului; 3. „soluție pentru portofel” înseamnă o combinație de software, hardware, servicii, setări și configurații, inclusiv instanțe ale portofelului, una sau mai multe aplicații criptografice securizate pentru portofel și unul sau mai multe dispozitive criptografice securizate pentru portofel; 4. „instanță a portofelului” înseamnă aplicația instalată și configurată pe dispozitivul sau în mediul unui utilizator de portofel, care face parte dintr-o unitate de portofel și pe care utilizatorul portofelului o utilizează pentru a interacționa cu unitatea de portofel; 5. „aplicație criptografică securizată pentru portofel” înseamnă o aplicație care gestionează active critice prin faptul că este legată de funcțiile criptografice și necriptografice furnizate de dispozitivul criptografic securizat pentru portofel și că utilizează aceste funcții; 6. „dispozitiv criptografic securizat pentru portofel” înseamnă un dispozitiv inviolabil care oferă un mediu legat de aplicația criptografică securizată pentru portofel și utilizat de aceasta pentru a proteja activele critice și pentru a furniza funcții criptografice pentru executarea securizată a operațiunilor critice; 7. „active critice” înseamnă active din cadrul unei unități de portofel sau legate de o astfel de unitate care au o importanță atât de extraordinară încât, în cazul în care disponibilitatea, confidențialitatea sau integritatea lor este compromisă, acest lucru ar avea un efect foarte grav, de slăbire a capacității de a recurge la unitatea de portofel; 8. „furnizor de portofel” înseamnă o persoană fizică sau juridică care furnizează soluții pentru portofel; 9. „utilizator al portofelului” înseamnă un utilizator care deține controlul asupra unității de portofel; 10. „registru național al beneficiarilor portofelelor” înseamnă un registru electronic național utilizat de un stat membru pentru a pune la dispoziția publicului informații privind beneficiarii portofelelor înregistrați în statul membru respectiv, astfel cum se prevede la articolul 5b alineatul (5) din Regulamentul (UE) nr. 910/2014; 11. „furnizor de certificate de acces pentru beneficiarii portofelelor” înseamnă o persoană fizică sau juridică mandatată de un stat membru să elibereze certificate de acces pentru beneficiarii portofelelor înregistrați în statul membru respectiv; 12. „certificat de acces pentru beneficiarul portofelului” înseamnă un certificat pentru sigiliile electronice sau semnăturile electronice care îl autentifică și îl validează pe beneficiarul portofelului și care este eliberat de un furnizor de certificate de acces pentru beneficiarii portofelelor; 13. „furnizor de date de identificare personală” înseamnă o persoană fizică sau juridică responsabilă cu emiterea și revocarea datelor de identificare personală și cu asigurarea faptului că datele de identificare personală ale unui utilizator sunt legate criptografic de o unitate de portofel; 14. „operator de registru al beneficiarilor portofelelor” înseamnă organismul desemnat de un stat membru pentru a întocmi și a actualiza lista beneficiarilor portofelelor înregistrați și stabiliți pe teritoriul său; 15. „certificat de înregistrare al beneficiarului portofelului” înseamnă un obiect de date care descrie utilizarea prevăzută de beneficiar și indică atributele pentru care beneficiarul și-a înregistrat intenția de a le solicita utilizatorilor; 16. „furnizor de certificate de înregistrare ale beneficiarului portofelului” înseamnă o persoană fizică sau juridică mandatată de un stat membru să elibereze certificate de înregistrare pentru beneficiarii portofelelor înregistrați în statul membru respectiv.

Articolul 3

Registrele naționale

(1) Statele membre instituie și mențin cel puțin un registru național al beneficiarilor portofelelor, care conține informații despre beneficiarii înregistrați ai portofelelor stabiliți în statul membru respectiv. (2) Registrul include cel puțin informațiile prevăzute în anexa I. (3) Statele membre desemnează cel puțin un operator de registru pentru gestionarea și operarea a cel puțin unui registru național al beneficiarilor portofelelor. (4) Statele membre pun la dispoziția publicului online informațiile prevăzute în anexa I privind beneficiarii portofelelor înregistrați, atât într-un format lizibil pentru om, cât și într-un format prelucrabil automat. (5) Informațiile menționate la alineatul (2) sunt disponibile prin intermediul unei interfețe de programare a aplicațiilor („API”) comune și prin intermediul unui site web național. Acestea sunt semnate sau sigilate electronic de către operatorul de registru sau în numele acestuia, în conformitate cu cerințele comune privind o API comună prevăzute în secțiunea 1 din anexa II. (6) Statele membre se asigură că API menționată la alineatul (5) respectă cerințele comune prevăzute în secțiunea 2 din anexa II. (7) Statele membre se asigură că registrele respectă politicile de înregistrare relevante comune stabilite la articolul 4.

Articolul 4

Politicile de înregistrare

(1) Statele membre stabilesc și publică una sau mai multe politici naționale de înregistrare aplicabile registrelor naționale stabilite pe teritoriul lor. (2) Statele membre pot include sau reutiliza politici de înregistrare sectoriale sau naționale existente. (3) Politica națională de înregistrare include cel puțin informații privind: (a) procedurile de identificare și autentificare aplicabile beneficiarilor portofelelor în timpul procesului de înregistrare; (b) documentele justificative necesare privind identitatea, înregistrarea în registrul comerțului, dreptul sau drepturile aplicabile și alte informații relevante privind beneficiarul portofelului; (c) sursele autentice sau alte evidențe electronice oficiale și cazurile în care aceste surse sau evidențe pot fi utilizate pentru a furniza date exacte; (d) orice alte informații sau alte dovezi necesare în cadrul procesului de înregistrare; (e) după caz, mijloacele automatizate care permit beneficiarilor portofelelor să se înregistreze sau să actualizeze o înregistrare existentă; (f) mecanismul de exercitare a căilor de atac aflat la dispoziția beneficiarilor portofelelor în conformitate cu legislația și procedurile statului membru în care este stabilit registrul; (g) normele și procedurile de verificare a identității beneficiarilor portofelelor înregistrați și a oricăror alte informații relevante furnizate de beneficiarii respectivi. (4) Procedurile și documentația menționate la alineatul (3) literele (a) și (b) permit beneficiarilor portofelelor să indice dreptul sau drepturile specifice în temeiul cărora acționează, astfel cum se prevede în anexa I. (5) Dacă este cazul, cerințele prevăzute în politica de înregistrare națională nu împiedică un proces de înregistrare automatizat.

Articolul 5

Informații care trebuie furnizate registrelor naționale

(1) Beneficiarii portofelelor furnizează registrelor naționale cel puțin informațiile prevăzute în anexa I. (2) Beneficiarii portofelelor se asigură că informațiile furnizate sunt exacte la momentul înregistrării. (3) Beneficiarii portofelelor actualizează fără întârzieri nejustificate orice informații înregistrate anterior în registrul național al beneficiarilor portofelelor.

Articolul 6

Procesele de înregistrare

(1) Operatorii de registru instituie proceduri electronice, ușor de utilizat și, dacă este posibil, automatizate, de înregistrare electronică a beneficiarilor portofelelor. (2) Operatorii de registru prelucrează cererile de înregistrare fără întârzieri nejustificate și transmit solicitantului un răspuns la cererea de înregistrare în termenul definit în politica de înregistrare aplicabilă, utilizând mijloace adecvate și în conformitate cu legislația și procedurile statului membru în care este stabilit registrul național. (3) Dacă este posibil, operatorii de registru verifică în mod automat: (a) exactitatea, valabilitatea, autenticitatea și integritatea informațiilor solicitate în temeiul articolului 5; (b) după caz, procura reprezentanților beneficiarilor portofelelor, întocmită și prezentată în conformitate cu legislația și procedurile statului membru în care este stabilit registrul național; (c) tipul de drepturi ale beneficiarilor portofelelor, astfel cum sunt prevăzute în anexa I; (d) absența unei înregistrări într-un alt registru național. (4) Operatorii de registru verifică informațiile prevăzute la alineatul (3) în raport cu documentele justificative furnizate de beneficiarii portofelelor sau cu sursele autentice corespunzătoare ori cu alte înregistrări electronice oficiale din statul membru în care este stabilit registrul național și la care operatorii de registru au acces în conformitate cu legislația și procedurile naționale aplicabile. (5) Verificarea drepturilor beneficiarilor portofelelor menționate la alineatul (3) litera (c) se efectuează în conformitate cu anexa III. (6) În cazul în care informațiile nu pot fi verificate în conformitate cu alineatele (3)-(5), operatorul de registru respinge înregistrarea. (7) În cazul în care un beneficiar al portofelului nu mai intenționează să recurgă la unități de portofel pentru furnizarea de servicii publice sau private în cadrul unei anumite înregistrări, acesta informează operatorul de registru relevant fără întârzieri nejustificate și solicită anularea înregistrării respective.

Articolul 7

Certificatele de acces pentru beneficiarii portofelelor

(1) Statele membre autorizează cel puțin o autoritate de certificare să elibereze certificate de acces pentru beneficiarii portofelelor. (2) Statele membre se asigură că furnizorii de certificate de acces pentru beneficiarii portofelelor eliberează certificate de acces pentru beneficiarii portofelelor exclusiv către beneficiarii portofelelor înregistrați. (3) Statele membre pun în aplicare într-un mod armonizat din punct de vedere sintactic și semantic politici specifice în materie de certificate și declarații privind practicile de certificare pentru certificatele de acces pentru beneficiarii portofelelor, în conformitate cu cerințele prevăzute în anexa IV.

Articolul 8

Certificatele de înregistrare ale beneficiarului portofelului

(1) Statele membre pot autoriza cel puțin o autoritate de certificare să elibereze certificate de înregistrare ale beneficiarului portofelului. (2) În cazul în care un stat membru a autorizat eliberarea unui certificat de înregistrare a beneficiarului portofelului, statul membru respectiv: (a) impune obligația ca furnizorii de certificate de înregistrare ale beneficiarului portofelului să elibereze certificate de înregistrare ale beneficiarului portofelului exclusiv către beneficiarii portofelelor înregistrați; (b) se asigură că fiecare utilizare preconizată este exprimată în certificatele de înregistrare ale beneficiarilor portofelului; (c) se asigură că certificatele de înregistrare ale beneficiarului portofelului includ o politică generală privind accesul armonizată la nivelul Uniunii din punct de vedere sintactic și semantic prin care utilizatorii sunt informați că beneficiarul portofelului este autorizat să solicite numai datele specificate în certificatele de înregistrare pentru utilizarea preconizată înregistrată în certificatele de înregistrare; (d) se asigură că furnizorii de soluții pentru portofel stabiliți în statul membru respectiv respectă politica generală privind accesul, informând utilizatorii atunci când un beneficiar al portofelului solicită date care nu sunt specificate în certificatele de înregistrare; (e) pune în aplicare certificatele de înregistrare a beneficiarilor portofelelor într-un mod armonizat din punct de vedere sintactic și semantic și în conformitate cu cerințele prevăzute în anexa V; (f) pune în aplicare politici specifice în materie de certificate și declarații specifice privind practicile de certificare pentru certificatele de înregistrare ale beneficiarilor portofelelor, în conformitate cu cerințele prevăzute în anexa V; (g) se asigură că beneficiarii portofelelor furnizează un URL pentru politica de confidențialitate în ceea ce privește utilizarea preconizată. (3) Politica menționată la litera (g) este exprimată în certificatul de înregistrare al beneficiarului portofelului.

Articolul 9

Suspendarea și anularea înregistrării

(1) Operatorii de registru suspendă sau anulează înregistrarea unui beneficiar al portofelului în cazul în care o astfel de suspendare sau anulare este solicitată de un organism de supraveghere în temeiul articolului 46a alineatul (4) litera (f) din Regulamentul (UE) nr. 910/2014. (2) Operatorii de registru pot suspenda sau anula înregistrarea unui beneficiar al portofelului în cazul în care aceștia au motive să creadă că una dintre următoarele afirmații este adevărată: (a) înregistrarea conține informații inexacte, depășite sau înșelătoare; (b) beneficiarul portofelului nu respectă politica de înregistrare; (c) beneficiarul portofelului solicită mai multe atribute decât a înregistrat în conformitate cu articolele 5 și 6; (d) beneficiarul portofelului acționează într-un alt mod care încalcă dreptul Uniunii sau dreptul intern în cadrul rolului său de beneficiar al portofelului. (3) Operatorii de registru suspendă sau anulează înregistrarea unui beneficiar al portofelului în cazul în care cererea de anulare sau suspendare este depusă chiar de acel beneficiar al portofelului. (4) Atunci când examinează suspendarea sau anularea în conformitate cu alineatul (2), operatorul de registru efectuează o evaluare a proporționalității, ținând seama de impactul asupra drepturilor fundamentale, a securității și a confidențialității utilizatorilor din ecosistem, precum și de gravitatea perturbării care se așteaptă să fie cauzată de suspendare sau anulare și de costurile asociate, atât pentru beneficiarul portofelului, cât și pentru utilizator. Pe baza rezultatului acestei evaluări, operatorul de registru poate suspenda sau anula înregistrarea, cu sau fără notificarea prealabilă a beneficiarului portofelului în cauză. (5) În cazul în care înregistrarea unui beneficiar al portofelului este suspendată sau anulată, operatorul de registru informează furnizorul certificatelor de acces relevante ale beneficiarului portofelului, furnizorul certificatelor de înregistrare relevante ale beneficiarilor portofelului și beneficiarul portofelului afectat cu privire la această acțiune, fără întârzieri nejustificate și în termen de cel mult 24 de ore de la suspendare sau anulare. Această notificare include informații cu privire la motivele suspendării sau anulării și la căile de atac disponibile. (6) Furnizorul de certificate de acces pentru beneficiarii portofelelor și furnizorul de certificate de înregistrare ale portofelelor digitale revocă, după caz, certificatele de acces pentru beneficiarul portofelului și, respectiv, certificatele de înregistrare ale beneficiarului portofelelor pentru care înregistrarea a fost suspendată sau anulată.

Articolul 10

Ținerea evidențelor

Operatorii de registru păstrează timp de 10 ani o evidență a informațiilor furnizate de către beneficiarii portofelelor și înregistrate în conformitate cu anexa I în vederea înregistrării unui beneficiar al portofelului și a eliberării certificatelor de acces pentru beneficiarii portofelelor și a certificatelor de înregistrare ale beneficiarului portofelului, precum și a oricăror modificări ulterioare ale acestor informații.

Articolul 11

Intrarea în vigoare

Prezentul regulament intră în vigoare în a douăzecea zi de la data publicării în Jurnalul Oficial al Uniunii Europene. Se aplică de la 24 decembrie 2026. Prezentul regulament este obligatoriu în toate elementele sale și se aplică direct în toate statele membre.